首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

整理一下在 npmjs.com 上面发布资源包踩过的坑

邮箱要激活 在 npmjs.com 上面注册账号的时候需要填写邮箱,然后登录网址的时候并没有强制要求你去邮箱激活。 但是到了发布资源包的时候,如果还没有去邮箱激活的话,就会报错。...反正总之,先到邮箱里看看,找到npmjs.com 发的那封邮件,按照要求操作一下,就可以了。 不能和现有的资源包重名。...折腾了半天终于弄明白了,原理 npmjs.com 感觉只验证用户名和密码不够安全,怕被盗号,所以又加了一道锁。...这道锁类似于银行的U盾,当然不需要我们弄硬件设备,只需要在手机里面下载一个APP,然后扫 npmjs.com 里面的一个二维码,然后绑定上即可。...426 Upgrade Required - PUT http://registry.npmjs.org/nf-state npm ERR!

1.2K10
您找到你想要的搜索结果了吗?
是的
没有找到

npm 生态系统存在巨大的安全隐患

现在,用户可以通过向对应的包 URI(例如 https://registry.npmjs.com/-/)向 registry.npmjs.com 发送 PUT 请求来发布 npm...示例 在 npmjs.com 上生成一个授权令牌(例如 https://www.npmjs.com/settings//tokens/new - 为了方便起见,选择 “Automation...activeTab=explore https://registry.npmjs.com/node-canvas/2.9.0 https://github.com/npm/cli/issues/5234...在这里要强调的关键点是,目前生态系统错误地认为 manifest 总是包含 tarball 的 package.json 的内容(这在很大程度上是因为缺乏注册表 API 文档以及 docs.npmjs.com...事实上,npmjs.com 这种方式已经运行了十多年了,这意味着当前的状态几乎已经无法打破。如前所述,npmCLI 本身依赖于这种行为,而且目前这种行为还可能存在其他非恶意用途。

22220
领券